NIS2: controleer of je organisatie eronder valt

Je vestigingsplaats

NIS2 geldt voor organisaties die diensten leveren of actief zijn in de EU. Elk EU-land voert NIS2 uit met een eigen wet, meestal voor organisaties die daar gevestigd zijn.

Je sector

NIS2 noemt 18 sectoren in twee bijlagen. Grote organisaties in de eerste lijst zijn meestal essentiële entiteiten; de overige meestal belangrijke entiteiten.

Je digitale dienst

Sommige digitale diensten vallen onder NIS2, ongeacht de omvang van de aanbieder. Het soort dienst kan dus op zichzelf al de uitkomst bepalen.

Soort overheidsinstantie

NIS2 geldt voor centrale overheidsinstanties, ongeacht hun omvang. Elk land beslist over regionale instanties na een risicoanalyse, en over lokale instanties als het daarvoor kiest.

Personeel

NIS2 geldt meestal voor middelgrote en grotere organisaties. De EU-regels voor bedrijfsomvang bepalen de omvang op basis van personeel, omzet en balanstotaal.

Omzet en balanstotaal

Met minder dan 50 medewerkers ben je toch middelgroot als beide bedragen boven € 10 miljoen liggen. Met 50 tot 249 medewerkers ben je groot als je omzet boven € 50 miljoen ligt en je balanstotaal boven € 43 miljoen.

Aangewezen

Een land kan een organisatie onder NIS2 brengen, ongeacht de omvang, bijvoorbeeld als enige aanbieder van een essentiële dienst. Kritieke entiteiten volgens de EU-richtlijn betreffende de weerbaarheid van kritieke entiteiten vallen er ook onder.

NIS2 geldt voor een organisatie in een genoemde sector, ongeacht de omvang, als deze:

• een openbaar telecomnetwerk of -dienst, een vertrouwensdienst, een topleveldomeinregister, DNS of domeinnaamregistratie aanbiedt
• in haar land de enige aanbieder is van een dienst waarvan de samenleving of economie afhankelijk is
• de openbare veiligheid, beveiliging of gezondheid ernstig kan raken als haar dienst uitvalt
• een ernstig breder risico kan veroorzaken als haar dienst uitvalt, vooral over landsgrenzen heen
• kritiek is voor haar sector, landelijk of in haar regio
• een kritieke entiteit is volgens de EU-richtlijn betreffende de weerbaarheid van kritieke entiteiten, of een centrale overheidsinstantie

• Je bestuur keurt de beveiligingsmaatregelen goed, ziet erop toe en volgt training.
• Beveiligingsmaatregelen op minstens de tien gebieden die NIS2 noemt, van incidentafhandeling en back-ups tot leverancierscontroles en inloggen met meerdere factoren.
• Meldingen van significante incidenten aan het incidentresponsteam of de toezichthouder van je land.
• Waar passend je klanten informeren over significante incidenten die waarschijnlijk invloed hebben op je dienst.
• Je gegevens op de lijst van je toezichthouder, actueel gehouden.

• In Litouwen

  Litouwen voert NIS2 uit met zijn cybersecuritywet. Het NKSC, het nationale cybersecuritycentrum, houdt toezicht. Je verplichtingen beginnen zodra het NKSC je in zijn cybersecurityinformatiesysteem registreert.

• Litouwen gaat verder dan NIS2

  De wet geldt ook voor hostingaanbieders, domeinregistrars en organisaties die informatiebronnen van de staat beheren, ongeacht hun omvang.

• De Litouwse omzettoets

  In Litouwen telt een sector uit de tweede lijst alleen mee als die meer dan de helft van je jaaromzet oplevert.

• Een verschil in de Litouwse meldplicht

  In Litouwen moet het eindverslag binnen een maand na de eerste melding binnen zijn, niet na de melding van 72 uur.

• In Nederland

  De Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van NIS2, geldt sinds 15 augustus 2026. Registreer je op mijn.ncsc.nl en meld wijzigingen binnen twee weken.

• Nederland gaat verder dan NIS2

  De Nederlandse wet merkt provincies, gemeenten en waterschappen als essentiële entiteiten aan. Ook een instelling voor hoger onderwijs kan eronder vallen als die wordt aangewezen.